Adware.Egame.1039

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Egame.1
Adware.Egame.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) 2####.102.39.23:80
TCP(HTTP/1.1) 1####.29.29.29:80
UDP(NTP) 1.cn.p####.####.org:123
UDP(NTP) 0.a####.p####.####.org:123
TCP(TLS/1.0) 1####.250.27.95:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) pla####.google####.com:443
TCP(TLS/1.0) connect####.gst####.com:443
TCP(TLS/1.2) 1####.250.27.95:443

Запросы DNS:

0.a####.p####.####.org
1.cn.p####.####.org
and####.cli####.go####.com
av1.x####.com
connect####.gst####.com
i####.cn
id1.cn.8.####.8
m####.go####.com
p####.google####.com
pg.x####.com
pg.x####.com.####.8
pla####.google####.com
pla####.googleu####.com
safebro####.google####.com

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jgck
/data/data/####/EGAME_SDK.dat
/data/data/####/EGAME_SDK.jar
/data/data/####/GoogleBackupTransport.dex
/data/data/####/GoogleBackupTransport.dex.flock (deleted)
/data/data/####/GoogleLoginService.dex
/data/data/####/GoogleLoginService.dex.flock (deleted)
/data/data/####/GoogleServicesFramework.dex
/data/data/####/GoogleServicesFramework.dex.flock (deleted)
/data/data/####/Signature
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TD_app_pefercen_profile.xml.bak
/data/data/####/TD_app_pefercen_profile.xml.bak (deleted)
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDtcagent.db
/data/data/####/TDtcagent.db-journal
/data/data/####/apkInfo
/data/data/####/classes.dex
/data/data/####/classes.dex (deleted)
/data/data/####/classes2.dex
/data/data/####/cn_egame_openapi_opt.xml
/data/data/####/cn_egame_sdk_log.xml
/data/data/####/egame_psh_temp.dex
/data/data/####/egame_psh_temp.dex.flock (deleted)
/data/data/####/egame_psh_temp_.jar
/data/data/####/egame_s1564223999.tmp
/data/data/####/gameInfo.xml
/data/data/####/kxqpplatform2.dex
/data/data/####/kxqpplatform2.dex.flock (deleted)
/data/data/####/kxqpplatform2.jar
/data/data/####/kxqpplatform2.jar.lock
/data/data/####/lb_amcfg
/data/data/####/lb_packages
/data/data/####/libepsh_private_ar1.so
/data/data/####/libexecloader.so
/data/data/####/libjiagu.so
/data/data/####/libkxqpplatform.sinfo
/data/data/####/libkxqpplatform.sinfo (deleted)
/data/data/####/libkxqpplatform.so
/data/data/####/libzvmhelper.so
/data/data/####/main.dex
/data/data/####/main.dex.flock (deleted)
/data/data/####/main.jar
/data/data/####/mcore_dat.xml
/data/data/####/platform.xml
/data/data/####/proc_auxv
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/sig_0.key
/data/data/####/talkingdata_app.db-journal
/data/data/####/talkingdata_app_process_preferences_file
/data/data/####/talkingdata_app_version_preferences_file
/data/data/####/td.lock
/data/data/####/tdid.xml
/data/data/####/tdid.xml.bak (deleted)
/data/data/####/tdlock.txt
/data/data/####/tmp100729745tmp
/data/data/####/tmp100729745tmp (deleted)
/data/data/####/tmp1015117091tmp (deleted)
/data/data/####/tmp1027412789tmp
/data/data/####/tmp1027412789tmp (deleted)
/data/data/####/tmp1029482941tmp
/data/data/####/tmp1029482941tmp (deleted)
/data/data/####/tmp1094331992tmp
/data/data/####/tmp1094331992tmp (deleted)
/data/data/####/tmp1103746742tmp
/data/data/####/tmp1103746742tmp (deleted)
/data/data/####/tmp1109415927tmp (deleted)
/data/data/####/tmp1123595283tmp
/data/data/####/tmp1123595283tmp (deleted)
/data/data/####/tmp1133629125tmp
/data/data/####/tmp1133629125tmp (deleted)
/data/data/####/tmp1151478467tmp
/data/data/####/tmp1151478467tmp (deleted)
/data/data/####/tmp1154467118tmp
/data/data/####/tmp1154467118tmp (deleted)
/data/data/####/tmp1158183981tmp
/data/data/####/tmp1158183981tmp (deleted)
/data/data/####/tmp115899210tmp
/data/data/####/tmp115899210tmp (deleted)
/data/data/####/tmp1161866687tmp
/data/data/####/tmp1165558945tmp
/data/data/####/tmp1165558945tmp (deleted)
/data/data/####/tmp1175317575tmp
/data/data/####/tmp1175317575tmp (deleted)
/data/data/####/tmp1193416097tmp
/data/data/####/tmp1193416097tmp (deleted)
/data/data/####/tmp1205831548tmp
/data/data/####/tmp1205831548tmp (deleted)
/data/data/####/tmp1206687594tmp
/data/data/####/tmp1206687594tmp (deleted)
/data/data/####/tmp1226804219tmp
/data/data/####/tmp1249143923tmp
/data/data/####/tmp1249143923tmp (deleted)
/data/data/####/tmp126498930tmp
/data/data/####/tmp126498930tmp (deleted)
/data/data/####/tmp1273715920tmp
/data/data/####/tmp1273715920tmp (deleted)
/data/data/####/tmp1294605058tmp
/data/data/####/tmp1294605058tmp (deleted)
/data/data/####/tmp1325000221tmp
/data/data/####/tmp1325000221tmp (deleted)
/data/data/####/tmp1328227670tmp
/data/data/####/tmp1328227670tmp (deleted)
/data/data/####/tmp1347694569tmp
/data/data/####/tmp1347694569tmp (deleted)
/data/data/####/tmp1353558626tmp
/data/data/####/tmp1353558626tmp (deleted)
/data/data/####/tmp1363090362tmp
/data/data/####/tmp1363090362tmp (deleted)
/data/data/####/tmp1381173560tmp
/data/data/####/tmp1381173560tmp (deleted)
/data/data/####/tmp1381640273tmp
/data/data/####/tmp1381640273tmp (deleted)
/data/data/####/tmp1388705931tmp
/data/data/####/tmp1388705931tmp (deleted)
/data/data/####/tmp1406814634tmp
/data/data/####/tmp1406814634tmp (deleted)
/data/data/####/tmp1410375796tmp
/data/data/####/tmp1410375796tmp (deleted)
/data/data/####/tmp14110327tmp
/data/data/####/tmp14110327tmp (deleted)
/data/data/####/tmp1426953253tmp
/data/data/####/tmp1426953253tmp (deleted)
/data/data/####/tmp1428755695tmp
/data/data/####/tmp1428755695tmp (deleted)
/data/data/####/tmp1458508089tmp
/data/data/####/tmp1458508089tmp (deleted)
/data/data/####/tmp1461472090tmp (deleted)
/data/data/####/tmp1468567969tmp
/data/data/####/tmp1481351420tmp
/data/data/####/tmp1481351420tmp (deleted)
/data/data/####/tmp1482143078tmp
/data/data/####/tmp1482143078tmp (deleted)
/data/data/####/tmp1485107861tmp
/data/data/####/tmp1485107861tmp (deleted)
/data/data/####/tmp1486210010tmp
/data/data/####/tmp1486210010tmp (deleted)
/data/data/####/tmp1527723333tmp
/data/data/####/tmp1527723333tmp (deleted)
/data/data/####/tmp1536596792tmp
/data/data/####/tmp1536596792tmp (deleted)
/data/data/####/tmp1540725799tmp
/data/data/####/tmp1540725799tmp (deleted)
/data/data/####/tmp1545202341tmp
/data/data/####/tmp1545202341tmp (deleted)
/data/data/####/tmp1554118363tmp
/data/data/####/tmp1554118363tmp (deleted)
/data/data/####/tmp1592400707tmp
/data/data/####/tmp1592400707tmp (deleted)
/data/data/####/tmp1607405914tmp
/data/data/####/tmp1607405914tmp (deleted)
/data/data/####/tmp1641343395tmp
/data/data/####/tmp1641343395tmp (deleted)
/data/data/####/tmp1647530695tmp (deleted)
/data/data/####/tmp1663595101tmp
/data/data/####/tmp1663595101tmp (deleted)
/data/data/####/tmp170472258tmp
/data/data/####/tmp170472258tmp (deleted)
/data/data/####/tmp1714366108tmp
/data/data/####/tmp1714366108tmp (deleted)
/data/data/####/tmp1739728887tmp
/data/data/####/tmp1739728887tmp (deleted)
/data/data/####/tmp174941346tmp
/data/data/####/tmp174941346tmp (deleted)
/data/data/####/tmp1755141613tmp
/data/data/####/tmp177074809tmp
/data/data/####/tmp177074809tmp (deleted)
/data/data/####/tmp1777511424tmp
/data/data/####/tmp1777511424tmp (deleted)
/data/data/####/tmp1789792013tmp
/data/data/####/tmp1789792013tmp (deleted)
/data/data/####/tmp1791249216tmp
/data/data/####/tmp1791249216tmp (deleted)
/data/data/####/tmp1816443376tmp
/data/data/####/tmp1816443376tmp (deleted)
/data/data/####/tmp1821121660tmp
/data/data/####/tmp1821121660tmp (deleted)
/data/data/####/tmp1824820214tmp
/data/data/####/tmp1824820214tmp (deleted)
/data/data/####/tmp1859628984tmp
/data/data/####/tmp1859628984tmp (deleted)
/data/data/####/tmp1899195749tmp (deleted)
/data/data/####/tmp1923815968tmp
/data/data/####/tmp1923815968tmp (deleted)
/data/data/####/tmp1926105898tmp
/data/data/####/tmp1926105898tmp (deleted)
/data/data/####/tmp1927127451tmp
/data/data/####/tmp1927127451tmp (deleted)
/data/data/####/tmp1935978318tmp
/data/data/####/tmp1935978318tmp (deleted)
/data/data/####/tmp1956816311tmp
/data/data/####/tmp1956816311tmp (deleted)
/data/data/####/tmp2029068023tmp
/data/data/####/tmp2029068023tmp (deleted)
/data/data/####/tmp2044935726tmp
/data/data/####/tmp2044935726tmp (deleted)
/data/data/####/tmp206018430tmp
/data/data/####/tmp206018430tmp (deleted)
/data/data/####/tmp208474761tmp
/data/data/####/tmp208474761tmp (deleted)
/data/data/####/tmp2096583084tmp (deleted)
/data/data/####/tmp2101280151tmp
/data/data/####/tmp2101280151tmp (deleted)
/data/data/####/tmp2135316830tmp (deleted)
/data/data/####/tmp216945215tmp
/data/data/####/tmp216945215tmp (deleted)
/data/data/####/tmp219797261tmp
/data/data/####/tmp219797261tmp (deleted)
/data/data/####/tmp233498763tmp
/data/data/####/tmp233498763tmp (deleted)
/data/data/####/tmp236765060tmp
/data/data/####/tmp236765060tmp (deleted)
/data/data/####/tmp249662948tmp
/data/data/####/tmp249662948tmp (deleted)
/data/data/####/tmp279014494tmp (deleted)
/data/data/####/tmp292970708tmp (deleted)
/data/data/####/tmp298062731tmp
/data/data/####/tmp298062731tmp (deleted)
/data/data/####/tmp300152773tmp
/data/data/####/tmp300152773tmp (deleted)
/data/data/####/tmp315833761tmp
/data/data/####/tmp318939501tmp
/data/data/####/tmp318939501tmp (deleted)
/data/data/####/tmp322269744tmp
/data/data/####/tmp322269744tmp (deleted)
/data/data/####/tmp326741608tmp
/data/data/####/tmp326741608tmp (deleted)
/data/data/####/tmp36420961tmp
/data/data/####/tmp36420961tmp (deleted)
/data/data/####/tmp371022998tmp
/data/data/####/tmp371022998tmp (deleted)
/data/data/####/tmp381391276tmp
/data/data/####/tmp381391276tmp (deleted)
/data/data/####/tmp393489288tmp
/data/data/####/tmp393489288tmp (deleted)
/data/data/####/tmp420723154tmp
/data/data/####/tmp420723154tmp (deleted)
/data/data/####/tmp459084242tmp (deleted)
/data/data/####/tmp486008533tmp
/data/data/####/tmp486008533tmp (deleted)
/data/data/####/tmp502278472tmp
/data/data/####/tmp502278472tmp (deleted)
/data/data/####/tmp507039907tmp
/data/data/####/tmp507039907tmp (deleted)
/data/data/####/tmp525268108tmp
/data/data/####/tmp525268108tmp (deleted)
/data/data/####/tmp529121039tmp
/data/data/####/tmp529121039tmp (deleted)
/data/data/####/tmp53088538tmp
/data/data/####/tmp53088538tmp (deleted)
/data/data/####/tmp541220739tmp
/data/data/####/tmp541220739tmp (deleted)
/data/data/####/tmp546107371tmp (deleted)
/data/data/####/tmp571380611tmp
/data/data/####/tmp571380611tmp (deleted)
/data/data/####/tmp575393754tmp (deleted)
/data/data/####/tmp603715689tmp
/data/data/####/tmp603715689tmp (deleted)
/data/data/####/tmp612989387tmp
/data/data/####/tmp612989387tmp (deleted)
/data/data/####/tmp615123700tmp
/data/data/####/tmp615123700tmp (deleted)
/data/data/####/tmp615524916tmp
/data/data/####/tmp615524916tmp (deleted)
/data/data/####/tmp627240240tmp (deleted)
/data/data/####/tmp638942619tmp (deleted)
/data/data/####/tmp643744053tmp
/data/data/####/tmp643744053tmp (deleted)
/data/data/####/tmp647892277tmp (deleted)
/data/data/####/tmp6640298tmp
/data/data/####/tmp6640298tmp (deleted)
/data/data/####/tmp668768056tmp
/data/data/####/tmp668768056tmp (deleted)
/data/data/####/tmp677749103tmp
/data/data/####/tmp677749103tmp (deleted)
/data/data/####/tmp681954861tmp
/data/data/####/tmp681954861tmp (deleted)
/data/data/####/tmp711829284tmp
/data/data/####/tmp711829284tmp (deleted)
/data/data/####/tmp739577701tmp
/data/data/####/tmp739577701tmp (deleted)
/data/data/####/tmp765883270tmp
/data/data/####/tmp765883270tmp (deleted)
/data/data/####/tmp79461642tmp
/data/data/####/tmp79461642tmp (deleted)
/data/data/####/tmp796462854tmp
/data/data/####/tmp796462854tmp (deleted)
/data/data/####/tmp807662409tmp
/data/data/####/tmp807662409tmp (deleted)
/data/data/####/tmp823534339tmp
/data/data/####/tmp823534339tmp (deleted)
/data/data/####/tmp827181640tmp
/data/data/####/tmp827181640tmp (deleted)
/data/data/####/tmp848861713tmp
/data/data/####/tmp848861713tmp (deleted)
/data/data/####/tmp896759371tmp
/data/data/####/tmp896759371tmp (deleted)
/data/data/####/tmp899559538tmp
/data/data/####/tmp899559538tmp (deleted)
/data/data/####/tmp902546452tmp
/data/data/####/tmp902546452tmp (deleted)
/data/data/####/tmp932384380tmp
/data/data/####/tmp932384380tmp (deleted)
/data/data/####/tmp943844399tmp
/data/data/####/tmp943844399tmp (deleted)
/data/data/####/tmp958904556tmp
/data/data/####/tmp958904556tmp (deleted)
/data/data/####/tmp973339726tmp
/data/data/####/tmp973339726tmp (deleted)
/data/data/####/tmp977296725tmp (deleted)
/data/data/####/tmp992558840tmp
/data/data/####/tmp992558840tmp (deleted)
/data/media/####/.tcookieid
/data/media/####/am
/data/media/####/compVersion
/data/media/####/e3e8baa8280c718e9054264058d51c31.png
/data/media/####/verinfo.cfg
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

chmod 755 /data/user/0/<Package>/.platformcache/kxqpplatform2.jar
chmod 755 /data/user/0/<Package>/.platformcache/main.jar

Загружает динамические библиотеки:

libepsh_private_ar1
libjiagu
libkxqpplatform
libzvmhelper

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS7Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS7Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней